美国起诉勒索软件“修复师”：秘密支付800万美元赎金

周三公开的起诉书指控Zohar Pinhasi在2018年6月至2023年6月期间实施了一项骗局。他面临两项电汇欺诈指控和一项共谋指控。

Pinhasi经营一家名为MonsterCloud的公司。该公司宣称拥有一支专家团队，能在不支付赎金的情况下恢复加密数据。其网站声称使用“先进的解密技术和尖端技术”。然而，检察官称该公司根本没有此类工具。相反，Pinhasi及其同伙直接联系攻击者，支付赎金，然后保留支付给罪犯的金额与向受害者收取金额之间的差额。这一差额构成了指控中的欺诈核心，将安全故障变成了公司领导的个人收入来源。

这种差距非常悬殊。

起诉书引用的一起案例中，Pinhasi据称向一个勒索软件团伙支付了约8200美元。随后，他向受害者收取了15万美元的服务费。另一起发生在2021年10月左右的事件中，赎金约为236000美元，而客户被收取的费用约为38万美元。据The Register报道，涉及的总金额相当可观：向客户收取的费用超过1900万美元，其中超过800万美元直接流向了勒索软件运营者。

纽约东区美国检察官Joseph Nocella Jr.表示，Pinhasi“在榨取巨额利润的同时再次伤害了他的客户”。联邦调查局副局长James C. Barnacle Jr.补充说，Pinhasi将受害者的危机变成了自己的利润中心。Pinhasi于周三向当局投案，否认指控，并缴纳200万美元保释金获释。

该骗局依赖于对“恢复证明”的特定欺骗。BleepingComputer报道，MonsterCloud会提供解密的样本文件，以说服受害者其数据是安全的。然而，起诉书暗示这些样本来自勒索软件运营者本身，进一步掩盖了已发生赎金支付的事实。一些合同确实披露了公司可能会与网络罪犯沟通，但检察官认为，与攻击者打交道通常是第一步，而不是合同所暗示的最后手段。

此案凸显了勒索软件生态系统中日益增长的趋势：事件响应阶段已成为欺诈的目标。随着勒索软件攻击持续激增，IT团队快速恢复的压力创造了一个极易被利用的环境。The Register指出，Pinhasi的网站包含至少一位受酬代言人的推荐语。2019年5月，该代言人曾就其商业做法向Pinhasi提出疑问。据报道，Pinhasi当时承认MonsterCloud并不拥有任何用于解密数据的专有技术。

勒索软件威胁的更广泛背景在近期几个月内加剧。根据Chain Store Age的一份报告，第三季度勒索软件攻击激增29%，创下新的季度高点。GuidePoint Security报告称，受害者数量同比增长75%。这些统计数据凸显了强大备份策略和清晰事件响应协议的关键需求。组织越来越发现，他们的恢复选项不仅受到初始攻击的损害，还受到其聘请来修复问题的行为者的损害。

安全专家长期以来一直警告，勒索软件经济超出了初始文件加密的范围。支付和谈判阶段复杂，受害者往往绝望到接受来自未经核实提供商的服务。MonsterCloud案是一个关于审核第三方响应团队重要性的警示故事。虽然主要威胁仍然是勒索软件团伙本身，但恢复服务的次要层引入了其自身的风险和漏洞。

如果定罪，Pinhasi每项电汇欺诈指控最高可面临20年监禁。联邦调查局正在继续调查，起诉书指出存在“多名共谋者，其身份对大陪审团既有已知的，也有未知的”。此案是联邦执法部门打击支持勒索软件运营的基础设施（包括促成其的服务提供商）的更广泛努力的一部分。

对于企业而言，教训是明确的：在网络安全事件中寻求外部帮助时，尽职调查至关重要。合法恢复与欺诈利用之间的界限可能很薄，且财务风险很高。随着工业和关键基础设施部门持续面临日益严重的网络威胁，响应链的完整性与网络本身的安全性同样重要。